Lnux系统安全配置标准V

服务器系统安全加固技术要求——Linux服务器中国电信股份有限公司广州研究院2009年3月目? 录1补丁1.1系统补丁要求及时安装系统补丁。

更新补丁前，要求先在测试系统上对补丁进行可用性和兼容性验证。

系统补丁安装方法为（以下示例若无特别说明，均以RedHat Linux为例）：使用up2date命令自动升级或在下载对应版本补丁手工单独安装。

对于企业版5及之后的版本，可以直接使用yum工具进行系统补丁升级：yum update1.2其他应用补丁除Linux开发商官方提供的系统补丁之外，基于Linux系统开发的服务和应用（如APACHE、PHP、OPENSSL、MYSQL等）也必须安装最新的安全补丁。

以RedHat Linux为例，具体安装方法为：首先确认机器上安装了gcc及必要的库文件。

然后再应用官方网站下载对应的源代码包，如 *.，并解压：tar zxfv *.根据使用情况对编译配置进行修改，或直接采用默认配置。

cd *./configure进行编译和安装：makemake install注意：补丁更新要慎重，可能出现硬件不兼容、或者影响当前应用系统的情况。

安装补丁前，应该在测试机上进行测试。

2账号和口令安全配置基线2.1账号安全控制要求系统中的临时测试账号、过期无用账号等必须被删除或锁定。

以RedHat Linux为例，设置方法如下：锁定账号：/usr/sbin/usermod -L -s /dev/null $name删除账号：/usr/sbin/user $name2.2口令策略配置要求要求设置口令策略以提高系统的安全性。

例如要将口令策略设置为：非root 用户强制在90天内更该口令、之后的7天之内禁止更改口令、用户在口令过期的28天前接受到系统的提示、口令的最小长度为6位。

以RedHat Linux为例，可在/etc/文件中进行如下设置：vi /etc/PASS_MAX_DAYS 90PASS_MIN_DAYS 7PASS_MIN_LEN 6PASS_WARN_AGE 282.3root登录策略的配置要求禁止直接使用root登陆，必须先以普通用户登录，然后再su成root。

禁止root账号远程登录，以RedHat Linux为例，设置方法为：touch /etc/securettyecho “console” > /etc/securetty2.4root的环境变量基线root环境变量基线设置要求如表2-1所示：表 2-1 root环境变量基线设置3网络与服务安全配置标准3.1最小化启动服务1、Xinetd服务如果xinetd服务中的服务，都不需要开放，则可以直接关闭xinetd服务。

chkconfig --level 12345 xinetd off2、关闭邮件服务1) 如果系统不需要作为邮件服务器，并不需要向外面发邮件，可以直接关闭邮件服务。

chkconfig --level 12345 sendmail off2) 如果不需要作为邮件服务器，但是允许用户发送邮件，可以设置Sendmail不运行在daemon模式。

编辑/etc/sysconfig/senmail文件，增添以下行：DAEMON=noQUEUE=1h设置配置文件访问权限：cd /etc/sysconfig/bin/chown root:root sendmail/bin/chmod 644 sendmail3、关闭图形登录服务（X Windows）在不需要图形环境进行登录和操作的情况下，要求关闭X Windows。

编辑/etc/inittab文件，修改id:5:initdefault:行为id:3:initdefault:设置配置文件访问权限：chown root:root /etc/inittabchmod 0600 /etc/inittab4、关闭X font服务器服务如果关闭了X Windows服务，则X font服务器服务也应该进行关闭。

chkconfig xfs off5、关闭其他默认启动服务系统默认会启动很多不必要的服务，有可能造成安全隐患。

建议关闭以下不必要的服务：apmd canna FreeWnn gpm hpoj innd irda isdn kdcrotate lvs mars-nwe oki4daemon privoxy rstatd rusersd rwalld rwhod spamassassin wine nfs nfslock autofs ypbind ypserv yppasswdd portmap smb netfs lpd apache httpd tux snmpd named postgresql mysqld webmin kudzu squid cups chkconfig --level 12345 服务名 off在关闭上述服务后，应同时对这些服务在系统中的使用的账号（如rpc、rpcuser、lp、apache、http、httpd、named、dns、mysql、postgres、squid 等）予以锁定或删除。

usermod -L 要锁定的用户3.2最小化xinetd网络服务1、停止默认服务要求禁止以下Xinetd默认服务：chargen chargen-udp cups-lpd daytime daytime-udp echo echo-udp eklogin finger gssftp imap imaps ipop2 ipop3 krb5-telnet klogin kshellktalk ntalk pop3s rexec rlogin rsh rsync servers services chkconfig 服务名 off2、其他对于xinet必须开放的服务，应该注意服务软件的升级和安全配置，并推荐使用SSH和SSL对原明文的服务进行替换。

如果条件允许，可以使用系统自带的iptables或tcp-wrapper功能对访问IP地址进行限制。

4文件与目录安全配置4.1临时目录权限配置标准临时目录/tmp、/var/tmp必须包含粘置位，以避免普通用户随意删除由其他用户创建的文件。

chmod +t /tmp ——为/tmp增加粘置位。

4.2重要文件和目录权限配置标准在Linux系统中，/usr/bin、/bin、/sbin目录为可执行文件目录，/etc 目录为系统配置目录，包括账号文件、系统配置、网络配置文件等，这些目录和文件相对重要。

重要文件及目录的权限配置标准必须按照表4-1进行配置。

表 4-1 重要文件和目录权限配置标准列表4.3umask配置标准umask命令用于设置新创建文件的权限掩码。

要求编辑/etc/profile文件，设置umask为027；在系统转成信任模式后，可设置umask为077。

4.4SUID/SGID配置标准SUID/SGID的程序在运行时，将有效用户ID改变为该程序的所有者(组)ID，使得进程拥有了该程序的所有者（组）的特权，因而可能存在一定的安全隐患。

对于这些程序，必须在全部检查后形成基准，并定期对照基准进行检查。

查找此类程序的命令为：# find / -perm -4000 -user 0 –ls ――查找SUID可执行程序# find / -perm -2000 -user 0 –ls ――查找SGID可执行程序5信任主机的设置1.原则上关闭所有R系列服务：rlogin、rsh、rexec2.对于需要以信任主机方式访问的业务系统，按照表5-1所示方式设置：表 5-1 信任主机的设置方法6系统Banner的配置要求修改系统banner，以避免泄漏操作系统名称、版本号、主机名称等，并且给出登陆告警信息。

1.修改/etc/issue文件，加入：ATTENTION:You have logged onto a secured server..ONLY Authorized users can access..2.修改/etc/文件，加入：ATTENTION:You have logged onto a secured server..ONLY Authorized users can access..3.修改/etc/文件，在telnet一行的最后，更改telnetd为telnetd –b/etc/issue，增加读取banner参数。

4.重启inetd进程。

Kill –HUP “inetd进程pid”7内核参数要求调整以下内核参数，以提高系统安全性：设置tcp_max_syn_backlog，以限定SYN队列的长度设置rp_filter为1，打开反向路径过滤功能，防止ip地址欺骗设置accept_source_route为0，禁止包含源路由的ip包设置accept_redirects为0，禁止接收路由重定向报文，防止路由表被恶意更改设置secure_redirects为1，只接受来自网关的“重定向”icmp报文配置方法为：编辑/etc/，增加以下行：设置配置文件权限：/bin/chown root:root /etc//bin/chmod 0600 /etc/在系统不作为不同网络之间的防火墙或网关时，要求进行如下设置。

设置ip_forward为0，禁止ip转发功能设置send_redirects为0，禁止转发重定向报文配置方法如下：编辑/etc/，增加：8syslog日志的配置1.syslog的基线配置要求如表8-1所示：表 8-1 syslog日志安全配置列表2.要求将日志输出至专用日志服务器，或者至少输出至本地文件中。

附件：选装安全工具。